Veri sorumlusu sıfatı taşıyan işletmeler için KVKK ve 6698 sayılı kanun kapsamındaki yükümlülükler yalnızca bir kayıt işleminden ibaret değildir. VERBİS bildirimi, envanterin gerçeği yansıtması ve saklama süresi dolan verinin silinmesi birbirine bağlı halkalardır. İnternet ortamındaki yayınlar bakımından 5651 sayılı kanun da tabloya eklendiğinde, sorumluluk alanı daha da genişler.
Kayıt ile Uygulama Arasındaki Boşluk
Denetimlerde ortaya çıkan en yaygın sorun, bildirilen envanter ile fiilen işlenen veri arasındaki uyumsuzluktur. Sistemde tutulan veri kategorisi bildirimde yer almıyorsa ya da saklama süresi kâğıt üzerinde belirlenip uygulamada işletilmiyorsa, kayıt yapılmış olması tek başına koruma sağlamaz. Bu nedenle envanterin canlı bir belge gibi güncellenmesi gerekir.
Silme, Yok Etme ve Anonim Hâle Getirme Ayrımı
Üç kavram birbirinin yerine kullanılamaz. Silme, verinin ilgili kullanıcılar için erişilemez hâle getirilmesini; yok etme, hiçbir şekilde geri getirilemeyecek biçimde ortadan kaldırılmasını; anonim hâle getirme ise verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma getirilmesini ifade eder. Politika metninde bu ayrım yapılmadığında, uygulanan yöntemin yeterliliği tartışmalı hâle gelir.
Delil Eksikliğinin Denetimdeki Karşılığı
- Silme işleminin yapıldığı söylenip sistem loglarının sunulamaması
- Aydınlatma metninin hangi tarihte hangi kanalda gösterildiğinin belgelenememesi
- Açık rıza alındığı iddia edilirken rızanın kapsamı ve zamanının gösterilememesi
- Yurt dışı aktarımı bulunduğu hâlde bunun envantere işlenmemiş olması
- İlgili kişi başvurularına verilen cevapların kayıt altında tutulmaması
Uyum Dosyasını Ayakta Tutan Rutin
- Veri envanteri belirli aralıklarla sistemlerle karşılaştırılarak güncellenir.
- Saklama ve imha politikası, periyodik imha işlemleriyle birlikte kayıt altına alınır.
- İlgili kişi başvuruları numaralandırılarak cevap süreleriyle izlenir.
- İhlal ihtimaline karşı bildirim akışı önceden yazılı hâle getirilir.
Değerlendirme
Uyum çalışmasında asıl mesele belge üretmek değil, üretilen belgeyi işleyen bir düzene bağlamaktır. Buradaki açıklamalar genel niteliktedir ve her işletmenin veri akışı farklıdır. Kendi sistem yapınıza göre hukuki değerlendirme almanız, denetim anında ispat gücünüzü artırır.